trnlnk87jkh.soha33.workers.dev
Kategoria: Phishing
- Nie loguj się tu ani nie płać. Zamknij stronę. Jeśli wpisano hasło, zmień je tam, gdzie zwykle go używasz.
- Już odwiedziłeś? Sprawdź urządzenie. Bezpłatne skanowanie pokaże, czy coś zostało zainstalowane.
- Zatrzymaj następną. Ochrona WWW Combo Cleaner blokuje phishing i strony oszustw, zanim się załadują.
Combo Cleaner to własne narzędzie antymalware PCrisk, należące do RCS LT. Skanowanie jest bezpłatne; usunięcie wykrytych zagrożeń wymaga licencji (7-dniowy bezpłatny okres próbny).
Opis trnlnk87jkh.soha33.workers.dev
Ta domena wydaje się hostować stronę utrzymaną w stylistyce TronLink, interfejsu portfela kryptowalutowego. Zrzut ekranu pokazuje oznaczenia związane z TronLink oraz komunikaty takie jak „Import a wallet” i „Select your existing wallet”, z opcjami obejmującymi import portfela i Ledger. Na podstawie widocznej treści strona wydaje się zaprojektowana tak, aby zachęcać użytkowników do podłączenia lub zaimportowania istniejącego portfela kryptowalutowego.
Sama domena jest losowo wyglądającą subdomeną w obrębie workers.dev, czyli hostowanej w chmurze platformy powszechnie używanej do wdrażania lekkich aplikacji internetowych i tymczasowych stron. Nie ma widocznych oznak, że ta subdomena jest oficjalną własnością TronLink, a sposób prezentacji sugeruje, że może próbować naśladować legalną stronę wdrożeniową portfela kryptowalutowego, zamiast działać jako niezależnie oznakowana usługa.
Ponieważ strona koncentruje się na imporcie portfela i interakcji w stylu poświadczeń, z perspektywy bezpieczeństwa użytkownika należy do kategorii wysokiego ryzyka. Strony tego typu są powszechnie wykorzystywane do wyłudzania fraz odzyskiwania portfela, kluczy prywatnych lub innych wrażliwych danych dostępowych do kryptowalut.
Ocena bezpieczeństwa trnlnk87jkh.soha33.workers.dev
W czasie tego skanowania wiele sygnałów bezpieczeństwa wskazywało na podwyższone ryzyko. Domena została oznaczona przez 14 z 91 silników bezpieczeństwa, a kilku dostawców klasyfikacji stron internetowych zaklasyfikowało ją jako phishing lub coś związanego z oszustwami. Treść strony również wydaje się zgodna z konfiguracją służącą do przechwytywania poświadczeń: prezentuje oznaczenia TronLink na niepowiązanej subdomenie workers.dev i zachęca do działań związanych z importem portfela, co może być wykorzystywane do przechwytywania wrażliwych informacji o portfelu.
Dane z blacklist i dane reputacyjne były mieszane, ale nadal budzące obawy. Chociaż kilka głównych baz danych zagrożeń nie wymieniało tej domeny w czasie tego skanowania, jeden dostawca blacklist ją wymieniał, a szerszy konsensus wielu silników jest wyraźnie negatywny. Skan malware nie zgłosił zainfekowanych plików, ale nie zmniejsza to istotnie obaw w tym przypadku, ponieważ strony phishingowe często opierają się na prostej treści internetowej, a nie na ładunkach malware.
Sam wiek domeny nie zmniejsza znacząco ryzyka, ponieważ jest to hostowana subdomena, którą można szybko wykorzystać do innego celu, a losowy wzorzec nazewnictwa subdomeny może być zgodny z jednorazową infrastrukturą phishingową. Na podstawie tych ustaleń ta witryna może stwarzać potencjalne zagrożenia dla odwiedzających.
Opis techniczny
Witryna była udostępniana przez HTTPS z ważnym certyfikatem TLS wydanym przez uznany urząd certyfikacji i wydaje się być hostowana za infrastrukturą Cloudflare pod adresem IP 172.67.164.251. Użycie HTTPS wskazuje na szyfrowany transport, ale nie należy tego interpretować jako oznaki legalności; strony phishingowe również powszechnie używają ważnych certyfikatów. DNSSEC wydaje się niepodpisany.
Szczegóły infrastruktury sugerują wdrożenie Cloudflare Workers w ramach workers.dev, a nie dedykowaną domenę firmową. Wzorzec nazwy hosta jest nietypowo losowy, co może być niezgodne ze stabilną usługą publicznie dostępną. W skanie plików nie potwierdzono wskaźników malware po stronie serwera, ale oznaczone zasoby wewnętrzne i projekt strony ukierunkowany na phishing pozostają w tym przypadku bardziej istotnymi powodami do obaw.
Podziel się swoimi doświadczeniami z tą witryną. Czy była bezpieczna? Czy wystąpiły jakieś problemy?